简单证书注册协议(SCEP)

简单证书注册协议(SCEP)是用于证书管理的一种协议标准。SCEP主要用于基于证书的身份验证，使用证书来实现对如wifi、VPN和通过加密保护的电子邮件等服务的访问。

基于证书的认证的主要优点是:

• 零用户干预，因为用户是通过证书进行验证。
• 保护网络通信，因为使用证书可以加密和验证数据。

但是，对于大型组织中的IT管理员来说，手动分发证书是一项非常繁琐的任务。SCEP可以帮助网络管理员轻松地在设备上安装证书。SCEP提供了一种简化和可扩展的方法来处理大型组织中的证书。证书和SCEP的区别在于，SCEP策略用于向设备分发客户端证书，而证书策略将CA证书分发给设备。

先决条件

• Windows服务器机器中必须安装NDES
• 配置证书模板
1. 点击开始菜单，选择运行，输入mmc点击确定。
2. 点击文件，然后选择添加/删除管理单元...。选择证书模板，点击添加然后点击确定。

    

3. 右键点击证书模板，选择管理。
4. 点击用户并选择复制模板。



5. 指定模板显示名称并点击确定保存。



6. 点击扩展，选择应用程序策略。点击编辑然后选择客户端验证，将其添加到应用程序策略中。

      

7. 点击密钥选择最小密钥大小。推荐的密钥大小是2048，因为它可以增强安全性。在配置MDM中的SCEP时，需要指定这个密钥的大小。



8. 点击安全然后选择策略应用的组。确保登记是所选域的允许许可。



9. 点击主题名称，选择在请求中提供。



• 映射证书模板到SCEP
1. 在Microsoft管理控制台(MMC)中添加证书授权

    

2. 展开证书颁发机构，并右键点击证书模板。点击新建选择证书模板的签发。



3. 选择之前创建的证书模板并点击确定。

    

要更改Microsoft NDES使用的默认证书模板，必须更改windows注册表的值。

4. 点击开始菜单，选择运行，输入regedit并点击确定。
5. 展开HKEY_LOCAL_MACHINE -> SOFTWARE -> Microsoft -> Cryptography -> MSCEP。
6. 右键点击加密模板，点击修改。



7. 指定Value date为创建的证书模板的名称，GeneralPurposeTemplate和SignatureTemplate也一样。重启一次服务器机器以使变更生效
。



• 防止挑战密码过期
如果您使用的是挑战密码(建议)，则必须修改注册表值，以防止挑战密码过期。

1. 打开注册表，展开HKEY_LOCAL_MACHINE -> SOFTWARE -> Microsoft -> Cryptography -> MSCEP -> UseSinglePassword。
2. 右键点击UseSinglePassword，将其对应的data值改为1。



完成配置之后，重新启动NDES服务器。

在MDM中配置SCEP